搜索

[9759] 2016-01-21_一个漏洞为何能影响数千万服务器以及66%安卓手机？

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2016-01-21_一个漏洞为何能影响数千万服务器以及66%安卓手机？ 一 个 漏 洞 为 何 能 影 响 数 千 万 服 务 器 以 及 6 6 % 安 卓 手 机 ？ S a m S m i t h   F r e e B u f   2 0 1 6 - 0 1 - 2 1 安 全 研 究 团 队 安 全 研 究 团 队 P e r c e p t i o n   P o i n t 发 现 发 现 L i n u x 系 统 内 核 中 存 在 一 个 高 危 级 别 的 本 地 权 限 提 升 系 统 内 核 中 存 在 一 个 高 危 级 别 的 本 地 权 限 提 升 0 d a y 漏 洞 ， 编 号 为 漏 洞 ， 编 号 为 C V E - 2 0 1 6 - 0 7 2 8 。 目 前 有 超 过 。 目 前 有 超 过 6 6 % 的 安 卓 手 机 和 的 安 卓 手 机 和 1 0 0 0 万 万 L i n u x   P C 和 服 务 器 都 受 到 这 项 内 存 泄 露 漏 洞 的 影 响 。 和 服 务 器 都 受 到 这 项 内 存 泄 露 漏 洞 的 影 响 。 漏 洞 介 绍 漏 洞 介 绍 P e r c e p t i o n   P o i n t 研 究 团 队 发 现 了 一 个 L i n u x 内 核 的 本 地 提 权 漏 洞 。 虽 然 这 个 漏 洞 自 2 0 1 2 年 便 已 经 存 在 ， 但 P e r c e p t i o n   P o i n t 团 队 声 称 近 期 才 发 现 这 个 漏 洞 ， 目 前 已 经 提 交 至 内 核 安 全 团 队 ， 后 续 还 会 发 布 P o C 利 用 代 码 。 这 个 漏 洞 会 影 响 到 数 以 千 万 计 的 L i n u x   个 人 计 算 机 和 服 务 器 ， 以 及 大 约 6 6 % 的 安 卓 设 备 （ 包 括 手 机 和 平 板 ） 。 尽 管 P e r c e p t i o n P o i n t 团 队 以 及 内 核 安 全 团 队 目 前 尚 未 发 现 针 对 这 个 漏 洞 的 利 用 ， 我 们 还 是 建 议 安 全 团 队 尽 快 检 测 可 能 受 此 影 响 的 设 备 ， 并 打 补 丁 。 本 文 我 们 将 对 漏 洞 的 技 术 细 节 进 行 介 绍 ， 以 及 如 何 通 过 这 个 漏 洞 实 现 内 核 代 码 执 行 。 最 终 ， P o C 成 功 实 现 从 本 地 用 户 提 权 限 权 至 r o o t 权 限 。 漏 洞 漏 洞 C V E - 2 0 1 6 - 0 7 2 8   这 个 漏 洞 本 身 存 在 于 L i n u x 内 核 密 钥 管 理 和 保 存 功 能 k e y r i n g s 中 。 在 我 们 详 细 介 绍 之 前 ， 先 来 据 了 解 一 些 关 于 这 个 漏 洞 的 背 景 知 识 。 直 接 引 自 其 帮 助 页 面 ， k e y r i n g s 主 要 功 能 是 为 驱 动 程 序 在 内 核 中 保 留 或 者 缓 存 安 全 数 据 、 身 份 认 证 秘 钥 、 加 密 秘 钥 以 及 其 他 数 据 。 由 于 提 供 了 系 统 调 用 接 口 — — 即 k e y c t l 系 统 调 用 （ 此 外 还 有 两 个 处 理 密 钥 的 系 统 调 用 ： a d d _ k e y 和 r e q u e s t _ k e y 。 不 过 ， k e y c t l 是 本 文 绝 对 的 关 键 ） ， 因 此 用 户 空 间 的 程 序 可 以 以 管 理 这 些 对 象 ， 并 利 用 该 工 具 实 现 各 自 的 目 的 。 每 个 进 程 都 会 使 用 k e y c t l （ K E Y C T L _ J O I N _ S E S S I O N _ K E Y R I N G ， 名 称 ） 为 当 前 的 会 话 创 建 一 个 密 钥 环 （ k e y r i n g ） ， 然 后 可 以 为 密 钥 环 （ k e y r i n g ） 指 定 名 称 ， 也 可 以 通 过 传 递 N U L L 不 予 指 定 。 密 钥 环 （ k e y r i n g ） 对 象 能 够 通 过 引 用 相 同 k e y r i n g 名 称 在 不 同 进 程 中 进 行 共 享 。 如 果 进 程 已 经 拥 有 一 个 会 话 密 钥 环 （ k e y r i n g ） ， k e y c t l 系 统 调 用 便 会 使 用 新 的 密 钥 环 （ k e y r i n g ） 取 代
原 来 的 。 如 果 一 个 对 象 被 多 个 进 程 共 享 ， 位 于 u s a g e 字 段 的 对 象 内 部 引 用 计 数 便 会 递 增 。 当 进 程 替 换 当 前 的 密 钥 环 （ k e y r i n g ） 时 ， 有 可 能 发 生 泄 漏 。 正 如 摘 自 内 核 3 . 1 8 版 本 的 如 下 代 码 片 段 ， 代 码 跳 转 至 e r r o r 2 标 签 ， 忽 略 了 k e y _ p u t 调 用 ， 同 时 泄 露 由 f i n d _ k e y r i n g _ b y _ n a m e 增 加 的 引 用 计 数 。 从 用 户 空 间 触 发 这 个 漏 洞 是 非 常 简 单 的 ， 正 如 下 面 代 码 片 段 所 示 ， 这 里 导 致 了 1 0 0 个 k e y r i n g 泄 露 引 用 ： 下 面 的 输 出 显 示 l e a k e d - k e y r i n g 已 经 有 1 0 0 个 引 用 。 漏 洞 利 用 漏 洞 利 用 尽 管 漏 洞 本 身 可 以 直 接 导 致 了 内 存 泄 露 ， 但 它 可 以 引 发 更 为 严 重 的 后 果 。 经 过 对 相 关 数 据 流 的 快 速 审 查 ， 我 们 发 现 存 储 对 象 引 用 计 数 的 数 据 字 段 是 a t o m i c _ t 数 据 类 型 的 ， 即 实 际 上 是 i n t 数 据 类 型 ， 意 味 着 在 3 2 和 6 4 位 体 系 架 构 上 都 是 3 2 位 大 小 。 虽 然 每 个 整 数 在 理 论 上 都 是 可 以 溢 出 的 ， 这 种 观 察 方 法 使 得 利 用 这 个 漏 洞 溢 出 引 用 计 数 的 方 法 看 似 可 行 。 如 果 某 个 进 程 导 致 内 核 对 同 一 对 象 解 引 用 0 x 1 0 0 0 0 0 0 0 0 次 ， 它 会 让 内 核 认 为 该 对 象 已 没 有 被 引 用 ， 因 此 会 释 放 该 对 象 。 如 果 同 一 个 进 程 还 拥 有 对 象 的 另 一 个 合 法 引 用 ， 并 在 内 核 释 放 之 后 进 行 利 用 ， 便 会 造 成 内 核 引 用 一 个 已 释 放 或 者 已 重 新 分 配 的 内 存 区 域 。 通 过 这 种 方 法 ， 我 们 可 以 构 造 一 个 内 存 释 放 后 再 使 用 的 漏 洞 （ u s e - a f t e r - f r e e ） 。 已 经 有 许 多 关 于 内 核 中 内 存 释 放 后 再 使 用 的 漏 洞 示 例 ， 接 下 来 的 步 骤 对 于 有 经 验 的 漏 洞 研 究 人 员 可 谓 轻 车 熟 路 了 。 这 段 可 执 行 的 利 用 代 码 大 体 步 骤 如 下 所 示 ： 1 、 保 留 一 个 密 钥 对 象 的 （ 合 法 ） 引 用 ； 2 、 溢 出 相 同 密 钥 环 （ k e y r i n g ） 对 象 的 u s a g e 字 段 ； 3 、 获 取 已 释 放 的 密 钥 环 （ k e y r i n g ） 对 象 4 、 从 用 户 空 间 中 ， 使 用 用 户 可 控 的 内 容 在 已 释 放 密 钥 环 （ k e y r i n g ） 对 象 所 占 用 的 内 存 空 间 上 分 配 一 个 新 的 内 核 对 象 。 5 、 使 用 旧 的 密 钥 对 象 的 引 用 ， 并 触 发 代 码 执 行 。 第 一 步 完 全 来 源 于 帮 助 页 面 ， 第 二 步 已 经 在 前 面 进 行 过 解 释 。 下 面 继 续 对 后 面 几 步 的 技 术 细 节 进 行 解 释 。 溢 出 引 用 计 数 溢 出 引 用 计 数 这 一 步 实 际 上 是 这 个 漏 洞 的 延 伸 。 u s a g e 字 段 是 i n t 类 型 的 ， 这 也 就 意 味 着 它 在 3 2 和 6 4 位 体 系 结 构 中 的 最 大 值 是 2 ^ 3 2 。 为 了 让 u s a g e 字 段 溢 出 ， 我 们 必 须 让 片 段 循 环 2 ^ 3 2 次 以 上 ， 才 能 让 u s a g e 达 到 0 。   释 放 释 放 k e y r i n g 对 象 对 象 有 几 种 方 法 来 释 放 k e y r i n g 对 象 。 一 种 是 使 用 一 个 进 程 来 是 k e y r i n g   u s a g e 字 段 溢 出 到 0 ， 通 过 在 密 钥 环 子 系 统 的 垃 圾 回 收 算 法 ， 将 对 象 释 放 ， 因 为 一 旦 密 钥 环 子 系 统 释 放 对 象 之 后 ， u s a g e 字 段 的 计 数 就 会 归 零 。 温 馨 提 示 ， 如 果 我 们 看 到 j o i n _ s e s s i o n _ k e y r i n g 函 数 （ j o i n _ s e s s i o n _ k e y r i n g 函 数 是 将 一 个 会 话   k e y r i n g   替 换 为 新 的 会 话 k e y r i n g ） p r e p a r e _ c r e d s 同 样 增 加 了 当 前 会 话 k e y r i n g ， 分 别 是 a b o r t _ c r e d s 或 者 c o m m i t _ c r e d s d e c r e m e n t s 。 问 题 在 于 a b o r t _ c r e d s 并 不 同 步 降 低 k e y r i n g 的 u s a g e 字 段 ， 但 是 稍 后 它 会 通 过 R C U 工 作 机 制 进 行 调 用 （ 在 修 改 数 据 的 时 候 ， 首 先 需 要 读 取 数 据 ， 然 后 生 成 一 个 副 本 ， 对 副 本 进 行 修 改 ， 修 改 完 成 之 后 再 将 老 数 据 u p d a t e 成 新 的 数 据 ， 此 所 谓 R C U ） ， 这 意 味 着 我 们 可 能 在 不 知 情 的 状 况 下 发 生 溢 出 。 想 要 解 决 这 个 问 题 ， 我 们 可 以 尝 试 在 每 次 调 用 j o i n _ s e s s i o n _ k e y r i n g 之 后 使 用 s l e e p （ 1 ） 。 当 然 s l e e p （ 2 ^ 3 2 ） 秒 的 时 间 是 不 可 行 的 。 可 行 的 方 法 是 使 用 d i v i d e - a n d - c o n q u e r 算 法 的 一 个 变 量 ， 在 第 2 ^ 3 1 - 1 次 调 用 之 后
s l e e p … … 这 样 我 们 永 远 不 会 发 生 无 意 的 溢 出 ， 因 为 r e f c o u n t 最 大 值 在 没 有 调 用 的 时 候 可 以 加 倍 。 分 配 和 控 制 内 核 对 象 分 配 和 控 制 内 核 对 象 我 们 的 进 程 指 向 一 个 k e y r i n g 释 放 对 象 ， 现 在 我 们 需 要 分 配 一 个 内 核 对 象 来 覆 写 k e y r i n g 对 象 。 由 于 S L A B 内 存 的 机 制 ， 在 释 放 k e y r i n g 对 象 之 后 分 配 多 个 对 象 的 k e y r i n g 数 据 长 度 将 变 得 更 为 容 易 。 我 们 选 择 使 用 L i n u x   I P C 子 系 统 发 送 大 小 为 0 x b 8   –   0 x 3 0 的 信 息 ， 这 时 k e y r i n g 对 象 的 数 据 长 度 为 0 x b 8 ， 消 息 h e a d e r 的 数 据 长 度 为 0 x 3 0 。 这 样 我 们 便 将 k e y r i n g 对 象 的 数 据 长 度 控 制 在 0 X 8 8 字 节 之 下 。 获 取 内 核 代 码 执 行 获 取 内 核 代 码 执 行 由 于 k e y r i n g 对 象 内 部 的 k e y _ t y p e 结 构 包 含 许 多 函 数 指 针 ， 因 此 获 取 这 一 步 将 变 得 相 当 容 易 。 R e v o k e 函 数 是 一 个 有 趣 的 函 数 指 针 ， 能 够 通 过 调 用 k e y c t l （ K E Y _ R E V O K E ， k e y _ n a m e ） 函 数 来 进 行 使 用 。 下 面 便 是 L i n u x 内 核 调 用 r e v o k e 函 数 的 代 码 片 段 ： K e y r i n g 对 象 会 通 过 以 下 方 式 填 补 ： 通 过 利 用 k e y r i n g 的 u i d 和 标 志 值 ， 不 断 尝 试 对 k e y r i n g 对 象 进 行 加 载 ， 并 通 过 对 该 过 程 的 检 测 ， 来 获 取 到 从 k e y - > t y p e - > r e v o k e 的 执 行 过 程 。 这 个 类 型 区 域 会 指 向 一 个 带 有 函 数 指 针 的 用 户 空 间 结 构 ， 造 成 以 r o o t 权 限 执 行 r e v o k e 函 数 指 针 。 这 是 一 段 代 码 片 段 演 示 ： C o m m i t _ c r e d s 和 p r e p a r e _ k e r n e l _ c r e d 函 数 的 地 址 是 静 态 的 ， 因 此 可 以 确 定 每 个 受 影 响 的 L i n u x 内 核 版 本 以 及 a n d r o i d 设 备 。 现 在 迎 来 最 后 一 步 ： 这 里 有 一 个 漏 洞 在 6 4 位 3 . 1 8 内 核 系 统 上 的 完 全 利 用 ， 下 面 显 示 的 则 是 E X P 在 一 台 英 特 尔 i 7 - 5 5 0 0   C P U 上 面 大 约 运 行 了 3 0 分 钟 ， 得 到 了 完 全 利 用 （ 通 常 提 权 漏 洞 并 不 存 在 时 间 问 题 ） ：
缓 解 措 施 及 结 论 缓 解 措 施 及 结 论 该 漏 洞 影 响 L i n u x 内 核 3 . 8 以 及 更 高 版 本 。 S M E P （ 监 督 模 式 执 行 保 护 ） & S M A P 、 S E L i n u x 会 对 这 个 漏 洞 在 安 卓 设 备 上 面 的 利 用 制 造 一 定 困 难 。 或 许 我 们 后 面 可 以 讨 论 一 下 如 何 绕 过 这 些 缓 解 措 施 ， 不 过 当 下 最 重 要 的 还 是 请 尽 快 打 补 丁 ！ 查 看 完 整 代 码 请 点 击 最 下 方 阅 读 原 文 * 原 文 地 址 ： p e r c e p t i o n - p o i n t ， P o C 来 源 ： P a s t e b i n   S a m S m i t h 编 译 ， 感 谢 R a b b i t _ R u n 和 T r o y 修 订 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理